CVE-2026-61564 in AVideo-Encoder
Riassunto
di VulDB • 28/10/2026
AVideo è una piattaforma di condivisione video. Prima della versione 8.1.0, l'endpoint dell'installatore non autenticato `install/checkConfiguration.php` assembla il file `videos/configuration.php` interpolando i parametri della richiesta, tra cui `webSiteRootURL`, in letterali stringa PHP racchiusi tra apici singoli senza effettuare alcuna escape. Un attaccante può terminare un letterale e iniettare codice PHP che viene eseguito con l'utente del web server quando il file generato, direttamente richiedibile tramite richiesta HTTP, viene caricato. Lo sfruttamento richiede l'assenza di `videos/configuration.php`, come avviene in ogni nuova installazione o dopo la rimozione o lo spostamento del file; un file esistente blocca questo endpoint. Il parametro `systemRootPath` fornito deve contenere il file index.php e una connessione che utilizza `databaseHost`, `databaseUser` e `databasePass` deve avere successo, ma l'attaccante può puntare questi parametri al proprio server di database e non necessita delle credenziali della vittima. La posizione di scrittura è inoltre derivata da `systemRootPath` senza vincoli sulla directory base. Ciò consente l'esecuzione arbitraria di comandi, la lettura e la sovrascrittura di file appartenenti all'utente del web server, l'inserimento persistente di codice PHP e il controllo sulle impostazioni di connessione al database memorizzate. L'endpoint interpola inoltre i valori della richiesta nelle istruzioni INSERT per streamer e configurazione, creando un secondo punto debole (sink) per SQL Injection. Questo problema è stato risolto nella versione 8.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.